背景信息
华为乾坤的租户帐号介绍参见帐号基础，而租户帐号分权分域管理如图1所示。一级租户就像一个企业机构，可以根据不同组织结构划分出不同工作组，并指定工作组内用户的权限，实现分权分域管理。
角色
角色是用户操作权限的集合。在创建工作组、用户时，给用户赋予了什么样的角色，用户就拥有了什么样的操作权限。
华为乾坤控制台支持两类用户角色，分别是公共角色和服务类角色。
为方便用户操作，控制台为不同服务预置了角色，还支持自定义角色，具体如表1所示。
角色分类 |
角色名称 |
说明 |
|---|---|---|
公共角色
说明：
对于普通租户（非租户管理员和非租户审计员），只有授权了目标服务角色，才能使用该服务。如站点管理、工单管理、订阅管理等。 |
租户管理员 |
具备所有服务的读、写权限。 |
租户审计员 |
具备所有服务的读权限。 |
|
租户开放接口操作员 |
用于通过API接口操作服务。 |
|
设备管理员 |
具有设备管理、站点管理的编辑与查看权限。 |
|
设备审计员 |
具有拥有设备管理、站点管理的查看权限。 |
|
设备开放接口操作员 |
具有设备开放接口业务的使用权限。 |
|
服务类角色
说明：
如果您想了解更多信息，请参考各服务《产品介绍》中“权限控制”章节。 |
服务名管理员 （如：边界防护与响应服务管理员） |
|
服务名审计员 （如：边界防护与响应服务审计员） |
|
|
服务名开放接口操作员 （如：边界防护与响应服务开放接口操作员） |
|
|
自定义角色 |
自定义角色名 |
根据实际情况设置相应的操作权限。 |
工作组
工作组是企业进行分域管理的基本单元。例如某企业有不同的分公司，则可以为不同分公司创建不同工作组，每个工作组只能处理分公司范围内的安全事件、管理分公司范围内的设备，如图1所示。
系统缺省存在一个“默认工作组”，又称根工作组。首次注册的华为乾坤帐号默认是根工作组管理员，角色为“租户管理员”，具备所有操作权限。
- 每个工作组都有一个管理员，系统默认工作组管理员可以在工作组中创建用户，其他用户经过管理员角色授权后也可以创建工作组用户。
- 一共支持5级工作组（包括默认工作组），每个工作组一般默认由上级工作组管理员创建、修改或删除，上级工作组的用户经过管理员角色授权后也可以创建、修改、删除子工作组。
- 同一租户管理员下的所有二级工作组的最大用户数之和不超过99，下级工作组最大用户数不能超过上级工作组用户数的剩余量。
图2 最大用户数示例
用户
用户是使用者在系统中的标识，包括用户名、密码和权限等属性。
根据用户类型可以将用户分为以下几类：
- 本地用户：指普通用户。
- 三方系统接入用户：指通过调用北向API接口登录控制台的用户，又称为“北向用户”。
- 远端用户：指华为官网用户。登录华为乾坤控制台时，请选择“华为官网帐号”登录。
